Comment anonymiser un document ?

Anonymiser ou pseudonymiser : le cadre du RGPD et de la CNIL

Le RGPD distingue deux opérations. La pseudonymisation, définie à l'article 4, remplace les données identifiantes de façon qu'elles ne puissent plus être attribuées à une personne sans informations supplémentaires, conservées à part. L'anonymisation va plus loin : elle rend l'identification impossible, compte tenu de « l'ensemble des moyens raisonnablement susceptibles d'être utilisés » (considérant 26).

Pour apprécier ce résultat, la CNIL reprend dans sa fiche sur l'anonymisation des données personnelles les trois critères de l'avis 05/2014 du G29, le groupe des autorités européennes devenu depuis le Comité européen de la protection des données :

• l'individualisation : il ne doit pas être possible d'isoler une personne dans le document ;
• la corrélation : il ne doit pas être possible de relier ce document à d'autres données concernant la même personne ;
• l'inférence : il ne doit pas être possible de déduire avec quasi-certitude une information nouvelle sur une personne.

Concrètement, un contrat où le nom du salarié devient PERSONNE_001, avec une table qui permet de retrouver ce nom, est pseudonymisé. Le même contrat, sans table, sans date de naissance ni adresse, et sans détail qui permette de reconnaître le salarié dans son entreprise, s'approche de l'anonymisation. La CNIL rappelle aussi que la pseudonymisation est réversible, contrairement à l'anonymisation. Les deux approches sont légitimes et répondent à des besoins différents : la première sert quand vous devez réintégrer les vraies valeurs dans un résultat, la seconde quand le document part pour toujours.

Comment anonymiser un document en cinq étapes

La procédure suivante s'applique à un document isolé comme à une série de fichiers de même nature.

1. Inventorier les identifiants directs : noms, prénoms, emails, téléphones, adresses, numéros de sécurité sociale, IBAN, SIREN, numéros fiscaux, numéros de dossier et de contrat, plaques d'immatriculation.
2. Repérer les identifiants indirects. Une étude de Latanya Sweeney (université Carnegie Mellon, 2000) a montré que la combinaison du code postal, du sexe et de la date de naissance suffisait à identifier de façon unique 87 % de la population des États-Unis (étude originale). Dates, lieux, fonctions et événements rares méritent donc la même attention que les noms.
3. Choisir un traitement par type de donnée : supprimer, remplacer par une étiquette ([PERSONNE]), remplacer par un alias stable (PERSONNE_001) ou généraliser, par exemple une date de naissance ramenée à l'année, une adresse ramenée au département.
4. Traiter les contenus cachés : métadonnées, commentaires, suivi des modifications, en-têtes, pieds de page, texte situé sous une forme noire.
5. Tester la réidentification : relire le document comme le ferait un collègue de la personne concernée, et vérifier les trois critères de la CNIL.

La dernière étape est souvent négligée, alors qu'elle conditionne la qualité de tout le travail. Elle consiste à vous demander qui pourrait reconnaître la personne, avec quelles informations complémentaires. Un dossier patient sans nom peut rester identifiable dans un petit service hospitalier si l'âge, la date d'admission et la commune figurent encore dans le texte. Dans ce cas, généralisez ou supprimez ces détails, puis relisez à nouveau.

Anonymiser un document Word, PDF ou Excel avec Biffer

Chaque format a ses pièges. Dans Word, les données se cachent dans les commentaires, l'historique des révisions et les propriétés du fichier ; la fonction « Inspecter le document » de Microsoft Word aide à les retirer. Dans un PDF, le texte est découpé en objets positionnés, et un rectangle dessiné par-dessus ne supprime rien ; un PDF scanné, lui, ne contient qu'une image, qu'il faut d'abord lire par reconnaissance de caractères. Dans Excel, une même personne apparaît sur des centaines de lignes, ce qui rend le traitement manuel long et sujet aux oublis, surtout quand les noms sont saisis avec des variantes.

Nous avons développé Biffer pour appliquer la méthode en cinq étapes sur ces trois formats, ainsi que sur le CSV et le texte, directement sur votre ordinateur :

• détection locale des identifiants directs et des champs propres à 18 métiers ;
• aperçu surligné où vous décochez un faux positif ou ajoutez un oubli, appliqué à toutes les occurrences ;
• alias stables (PERSONNE_001), masques ou noircissement, au choix pour chaque type de donnée ;
• métadonnées vidées et scans traités par une reconnaissance de caractères embarquée ;
• table de correspondance chiffrée facultative : avec elle, vous pseudonymisez ; sans elle, vous vous rapprochez de l'anonymisation.

Biffer facilite l'étape de relecture sans la remplacer : vous restez juge du caractère anonyme du résultat. La page anonymiser un document détaille les choix de politique, la page comment ça fonctionne décrit le déroulé complet, et la page réglementation rassemble les textes applicables.